ウクライナの偽核警報が浮き彫りにした、警報システムの信頼性をめぐる問題

避難を促すアプリが緊急事態をでっち上げ始めたら、人々はどうすべきなのか。2026年11月1日夜遅く、ウクライナで核、化学物質、街頭戦闘に関する偽の警告を受け取った人々にとって、これは抽象的なサイバーセキュリティ上の問いではなかった。市民にとって身近な命綱が、信頼できない指示を届けていた。ウクライナ空軍は放射線の脅威はないと発表し、空襲警報アプリへの敵対的な干渉があった可能性が高いと説明した。¹

当面の対応は、本物の空襲警報を放棄するのではなく、偽物だと特定されたメッセージを無視することだった。当局は住民に対し、空軍の発表、地方当局、その他の確認済み警報チャンネルを参照するよう促し、不審なリンクをクリックしないよう警告した。その後、通知の配信は再開された。侵入の全容、技術的な侵入口、実行者、アプリのすべての機能が復旧した時期は、依然として明らかになっていない。^{1 18 79}

改ざんされたメッセージを信じないことと、警報システム全体を無視することの区別こそが、公共の安全に関わる中心的な問題だ。技術的な作業によってサービスを復旧させることはできる。信頼を取り戻すには、どの指示が本物なのかを人々が知る必要がある。

最初の偽通知が現れたのは、日曜夜のキーウ時間で午後10:45～10:47ごろだった。CBCの特派員アンナ・カニンガム氏は、3分以内に4件のメッセージが届いたと伝えた。放射線の危険、全国的な核警報、化学物質に関する警告、キーウの街頭での戦闘だった。一部のメッセージは外出しないよう伝えていた。これは報告された一連の内容であり、すべての利用者が受け取った内容を調査した結果ではない。^{19 10}

一部のメッセージはロシア語で表示された。そのうち1件は、オレシニク・ミサイルが向かっていると虚偽の主張をしていた。ほかの報道では、弾道ミサイルや砲撃に関する偽の警告も伝えられた。これらは人々を欺く通知であり、核ミサイル発射、化学攻撃、街頭戦闘の証拠ではない。^{1 3}

時間経過は重要だ。空軍が最初に偽情報を否定したのは、およそ15分以内だった。利用者に偽の警告を無視するよう求める、その後の注意喚起が出たのは、通知が始まってから約1時間、または1時間以上後だった。キーウ・インディペンデントは約1時間、BBCは1時間以上と伝えた。いずれの報道も、住民が公式の否定発表を待つためにその時間ずっと待たされたという意味ではない。^{8 1 16}

混乱は携帯電話の画面にとどまらなかった。ウクライナ西部のザカルパッチャ州を含む複数の地域でサイレンが鳴った。NBCはウクライナの報道を引用し、リビウ州の一部の公共サイレンやスピーカーが放射線の危険を知らせる信号を流したと伝えた。これらの報道からは、鳴ったすべてのサイレンの原因や、偽通知が届くたびに本物の空からの脅威が同時にあったかどうかまでは確認できない。^{1 19}

地域当局者は、懸念を呼ぶメッセージと現地の状況を切り分けようとした。イバノフランキウスク州知事のスビトラナ・オニシチュク氏は、州内は平穏だと伝えた。ビンニツァ州知事のナタリア・ザボロトナ氏は、直接的な注意喚起として「メッセージ内のリンクをクリックしないでください」と呼びかけた。これらは当時の地域ごとの安心材料や指示であり、全国に向けた継続的な安全宣言ではない。¹

入手可能な報道では、受信者の確認済み総数は公表されていない。ロイター通信は、キーウで数百万台の携帯電話が警告を受信したと報じた。アトランティック・カウンシルのサイバー政策専門家タイソン・バーカー氏はDWに、このアプリには1日あたり400万人の利用者がおり、累計ダウンロード数は4700万回を超えると語った。これらの利用者数は独立した監査を受けておらず、偽のメッセージを何人が受信したかを示す数字でもない。ダウンロード数は現在利用しているユニークユーザー数ではなく、アプリの利用者全員が影響を受けたと見なすこともできない。^{9 13}

「空襲警報」は、デジタル変革省の支援を受けてAjax SystemsとStfalconが開発した、政府が公式に支援する市民向け警報アプリだ。軍の防空システムではない。ウクライナ当局は防空システムは侵害されていないと述べ、空軍報道官のユーリー・イグナト氏は軍の警備活動に影響はなかったと語った。したがって、偽の一般向け通知が届いたことは、軍の指揮、レーダー、迎撃システムが乗っ取られた証拠にはならない。^{64 16 8}

しかし、軍のシステムに異常がなかったからといって、市民向けチャンネルの改ざんが無害になるわけではない。人々はこうした一般向けメッセージを頼りに、日常を中断して避難するタイミングを判断する。軍事作戦が続いていたとしても、侵入によってその助言の配信は妨げられた。

開発者は不正な干渉を認め、プッシュ通知を無効にしてアプリを一時停止した。その後の説明では、受信者の携帯電話にインストールされたアプリそのものが侵害されたのではなく、サービス運用に使う操作画面への干渉だったとされた。この説明だけでは、侵入者が最初にどのようにアクセス権を得たのかは判明しない。^{1 58}

プッシュ通知の配信業者が侵害された可能性があるというバーカー氏の初期の見立ては、技術的なフォレンジック調査が続く中での暫定的なものだった。同様に、フィッシングの可能性に関する当局の警告は、不審なリンクへの注意を促す予防策であり、フィッシングが侵入の原因だったという証拠ではない。いずれの説も、確定した説明として扱うべきではない。^{13 1}

復旧は段階的に進んだ。プッシュ通知は再開したものの、11月2日朝の報道では、空中の目標を表示する地図機能はまだ無効だった。同日夕方までに、AP通信はウクライナの警報サービスが再び稼働していると報じた。これらの報道は両立する。警報配信が再開したからといって、地図機能を含むすべての機能が復旧したとは限らない。利用可能な記録からは、全機能の復旧時刻は確定できない。^{79 81 6}

開発者は、セキュリティ対策を追加しており、アプリは個人データを保存も利用もしないと述べた。これは運営者側の説明であり、接続されているすべてのシステムを対象とした独立監査ではない。報道からは、ユーザーデータが盗まれたとは確認できない。¹

ウクライナ戦略コミュニケーション・センター（SPRAVDI）はロシアを非難した。その後、ウォロディミル・ゼレンスキー大統領はPBSニュースアワーに対し、ロシアがウクライナの警報システムを攻撃し、ウクライナはロシアをハッキングして応じたと語った。この発言は重要だが、独立した技術的な犯人特定ではなく、インタビューでも、主張された報復の正確な範囲は明らかになっていない。^{25 5 7}

ウクライナの警告から数時間後、ロシア非常事態省も別個の侵入を報告した。同省によると、攻撃者はアプリの管理画面の脆弱性を悪用し、偽情報を送信した。報道では、核弾頭に関する偽の警告や、食料を備蓄して地下室に隠れるよう指示する内容が伝えられ、同省は後にサービスが復旧したと発表した。これらの詳細はロシアのアプリに関するものであり、ウクライナのサービスへの侵入方法を説明するものではない。^{8 1 19}

事件が近い時期に起きたからといって、両者に関連があるとは限らない。BBCモニタリングのアナリスト、ビタリ・チェフチェンコ氏は、実行者を特定したり関連性を証明したりする信頼できる証拠は見ていないと述べた。ガーディアン紙は、Hitcoreというグループが犯行声明を出したとの未確認情報も報じた。メッセージの文面、リンク先のチャンネル、ハッカーの特徴とみられるものは手掛かりではあるが、責任の所在を立証する一連の証拠ではない。^{16 17}

ロイター通信は当面の人的影響を一時的なパニックと伝え、BBCは広範なパニックには至らなかったものの懸念が広がったと報じた。これらの報道は必ずしも矛盾しない。ロイター通信は目立った長期的被害はなかったと報じたが、これは被害を包括的に評価した結果ではない。サイバーセキュリティ専門家のマシュー・ウォレン氏は、信頼されている警報源の改ざんは公的情報への信頼を損なう恐れがあると警告した。そのリスクは現実的だが、人々の本物の警報への対応に長期的な変化が生じたかどうかは測定されていない。^{9 3 20}

キーウの住民に向け、デジタル変革省は空襲警報情報の別の情報源として「Kyiv Digital」を勧めた。当局はまた、空軍の発表、地方当局、地域で検証された警報アプリを参照するよう促した。助言は具体的だった。偽物と特定された通知は無視し、不審なリンクや未確認のメッセージを避け、本物の警報と地域の避難指示には引き続き従うこと。アプリの復旧で連絡手段は戻った。次の本物の警報を人々が信頼するかどうかは、より難しい問題として残っている。^{1 18}